使用 Docker Compose 部署 MCP 隧道

如果您没有开启 Set up programmatic access，或者用于本地开发和测试，请使用此流程。没有 setup 服务。

1. 从控制台获取隧道令牌和域名

   在隧道详情页上，复制 Domain（格式类似 abcd1234.tunnel.anthropic.com），然后点击 Token 旁边的眼睛图标获取隧道令牌，并使用复制图标复制。

   将两者设置为本指南其余部分的 shell 变量：

   export TUNNEL_DOMAIN=YOUR_TUNNEL_DOMAIN_HERE
   export TUNNEL_TOKEN='eyJ...'
   

2. 生成脚手架和证书

   mkdir -p mcp-tunnel/{data,config}
   cd mcp-tunnel
   

   代理在 :8080 上监听纯 WebSocket；内部 TLS 握手使用这些证书在该 WebSocket 流内部进行。Anthropic 根据您在控制台中注册的 CA 验证内部握手。服务器证书的 SAN 必须包含 *.<tunnel-domain>，参见 证书要求。

   # Self-signed CA. Explicit extensions so it satisfies the certificate
   # requirements regardless of distro openssl.cnf defaults.
   openssl req -x509 -newkey rsa:2048 -nodes \
     -keyout data/ca.key -out data/ca.crt \
     -days 3650 -subj "/CN=mcp-tunnel-ca" \
     -addext "basicConstraints=critical,CA:TRUE" \
     -addext "keyUsage=critical,keyCertSign,cRLSign" \
     -addext "subjectKeyIdentifier=hash"
   
   # Extension file for the server certificate. Using -extfile (instead of
   # -copy_extensions, which is OpenSSL 3.0+ only) keeps this working on
   # OpenSSL 1.1.x.
   cat > data/tls.ext <<EOF
   subjectAltName = DNS:${TUNNEL_DOMAIN},DNS:*.${TUNNEL_DOMAIN}
   authorityKeyIdentifier = keyid,issuer
   extendedKeyUsage = serverAuth
   EOF
   
   # Server certificate signed by the CA
   openssl req -newkey rsa:2048 -nodes \
     -keyout data/tls.key -out /tmp/server.csr \
     -subj "/CN=${TUNNEL_DOMAIN}"
   openssl x509 -req -in /tmp/server.csr \
     -CA data/ca.crt -CAkey data/ca.key -CAcreateserial \
     -out data/tls.crt -days 90 \
     -extfile data/tls.ext
   
   chmod 644 data/tls.key
   

3. 在控制台中注册 CA 证书

   在隧道详情页上，滚动到 Certificates 部分并点击 Add certificate。使用 Choose file 直接上传 data/ca.crt（对话框接受 .pem、.crt 和 .cer），或粘贴其内容：

   cat data/ca.crt
   

   注册证书后，隧道状态会变为 Active。参见 添加 CA 证书。

4. 编写代理配置

   tunnel_domain 是必需的：代理使用它从传入的主机名中剥离域名后缀，然后在 routes 中查找子域名。routes 是从子域名到上游 URL 的扁平映射，而非列表。

   cat > config/mcp-proxy.yaml <<EOF
   listen_addr: ":8080"
   log_level: info
   tunnel_domain: ${TUNNEL_DOMAIN}
   tls:
     cert_file: /data/tls.crt
     key_file: /data/tls.key
   routes:
     echo: http://hello-mcp:9000
   EOF
   

   echo: 路由指向 示例 MCP 服务器；请替换为（或添加）您自己的路由。有关所有可用字段，请参阅 代理配置 参考。

5. 编写 docker-compose.yaml

   在此流程中，服务端未配置入口规则，因此 cloudflared 需要一个明确的本地目标。共享代理的网络命名空间并传递 --url http://localhost:8080，以便 cloudflared 在同一网络命名空间中将流量转发到代理；如果没有此配置，请求到达 cloudflared 后没有路由，会返回 503 错误（对调用者表现为 500）。

   cat > docker-compose.yaml <<'EOF'
   services:
     cloudflared:
       image: cloudflare/cloudflared@sha256:6b599ca3e974349ead3286d178da61d291961182ec3fe9c505e1dd02c8ac31b0
       # --url is required: no ingress rules are pushed in the manual flow,
       # so without it cloudflared 503s every request.
       command: tunnel --no-autoupdate run --url http://localhost:8080
       environment:
         - TUNNEL_TOKEN
       # Share the proxy's netns so localhost:8080 reaches it.
       network_mode: "service:mcp-proxy"
       restart: unless-stopped
       user: "65532:65532"
       read_only: true
       security_opt:
         - no-new-privileges:true
       cap_drop:
         - ALL
       stop_grace_period: 30s
       logging:
         options:
           max-size: "10m"
           max-file: "3"
   
     mcp-proxy:
       image: us-docker.pkg.dev/anthropic-public-registry/images/mcp-proxy@sha256:6b9adedbf2763143ec72f106ecaf0ce7fd3294e89b208f54a1db97a33d14c5ba
       volumes:
         - ./config/mcp-proxy.yaml:/etc/mcp-gateway/config.yaml:ro
         - ./data:/data:ro
       restart: unless-stopped
       user: "65532:65532"
       read_only: true
       security_opt:
         - no-new-privileges:true
       cap_drop:
         - ALL
       stop_grace_period: 30s
       logging:
         options:
           max-size: "10m"
           max-file: "3"
   EOF
   

   如果您使用的是 示例 MCP 服务器，请将其作为服务追加：

   cat >> docker-compose.yaml <<'EOF'
   
     hello-mcp:
       image: python:3.13-slim
       working_dir: /app
       volumes:
         - ./hello_server.py:/app/hello_server.py:ro
       command: sh -c "pip install --quiet mcp && python hello_server.py"
       restart: unless-stopped
   EOF
   

6. 启动部署

   docker compose up -d